1. 我们是谁
Main Perfection, Lda.（ROOTKey）（以下称“ROOTKey”或“我们”），地址为 Campo Grande n.º 28, 4.º B, 1700-093 Lisboa, Portugal，对本政策所述的个人数据负责。我们未任命数据保护官，因为法律并未要求我们的业务活动设立该职位。如对您的个人数据有任何疑问或请求，请发送邮件至 security@rootkey.ai。
2. 我们的两种角色
控制者。对于网站访问者、联系我们或订阅我们新闻通讯的人员、求职者、账户持有人和账单联系人的数据，由我们决定如何使用以及为何使用。本政策涵盖这些数据。
处理者。当客户将文件、文档、表格或数据库连接或上传至 ROOTKey 平台时，由客户决定这些内容的用途。对于这些内容，我们依据我们的条款和数据处理协议，按照客户的指示行事；该数据处理协议可应要求通过 security@rootkey.ai 获取。如果您的数据位于我们的某一客户所处理的内容中，请参阅第 10 节。
3. 我们收集什么、为何收集以及保留多久
| 目的 | 数据 | 法律依据 | 保留期限 |
|---|---|---|---|
| 运营和保护网站 | IP 地址、浏览器和设备类型、所请求的页面、表单安全检查（Cloudflare Turnstile） | 运营安全网站的合法利益 | 在技术日志中保留 12 个月 |
| 网站和产品分析（PostHog、Google Analytics） | 浏览的页面、点击、设备、大致位置、假名化标识符 | 您的同意，您可随时撤回 | 14 个月 |
| 衡量我们的广告效果（Google Ads） | 广告点击标识符和转化事件（例如已发送的表单），以及您是否访问过本网站，以便向您展示 ROOTKey 广告 | 您的同意，您可随时撤回 | 在 Cookie 中最长 90 天；在报告中 14 个月 |
| 答复联系和演示请求 | 姓名、电子邮件、公司、公司规模、主题和留言 | 应您的要求在订立合同前采取的措施，以及我们答复商业咨询的合法利益 | 我们最后一次互动后 3 年 |
| 新闻通讯 | 电子邮件和您选择的主题 | 您的同意 | 直至您退订 |
| 求职申请 | 姓名、电子邮件、简历或个人资料链接以及留言 | 应您的要求在订立合同前采取的措施 | 招聘流程结束后 1 年，除非您同意更长的期限 |
| 平台账户 | 姓名、电子邮件、组织、登录和安全数据、设置以及服务使用情况 | 履行我们与您之间的合同 | 账户有效期间以及账户关闭后 30 天 |
| 账单与付款 | 账单姓名和地址、税号、发票和付款状态。银行卡信息由 Stripe 处理；我们从不查看或存储完整的卡号 | 履行合同以及我们的法定义务 | 10 年，依葡萄牙税法要求 |
| 客户支持 | 您的消息以及解决问题所需的信息 | 履行合同以及我们为用户提供支持的合法利益 | 请求关闭后 3 年 |
我们不出售个人数据，也不会仅基于自动化处理作出关于您的决定。
4. 完整性证明与公共区块链
为证明文件未被更改，平台会计算该文件的 SHA-256 指纹，并将该指纹记录在 Polygon 公共区块链上。记录的仅为指纹和技术标识符，从不包括文件的内容、文件名或个人数据。指纹无法还原为文件。
公共区块链上的记录是永久性的：任何人（包括 ROOTKey）都无法更改或删除这些记录。当您删除文件或关闭账户时，我们会在我们自己的系统中删除该指纹与您之间的关联，从而使区块链上的记录无法再与您相关联。
5. 数据存储在哪里
在平台的 SaaS 版本中，数据存储在欧盟境内的数据中心，由 Amazon Web Services、Cloudflare 以及（就部分服务而言）Microsoft Azure 或 Google Cloud 提供，均位于欧盟区域。当客户在其自有的私有云或本地环境中运行 ROOTKey 时，其内容保留在其基础设施中，我们仅按照与客户的约定访问这些内容，例如为提供支持。
6. 我们与谁共享数据
我们使用以下服务提供商，它们代表我们处理个人数据，受合同约束，且仅用于此处所述的目的：
| 提供商 | 用途 |
|---|---|
| Amazon Web Services | 平台托管（欧盟区域） |
| Cloudflare | 网站托管、内容分发、安全以及表单安全检查（Turnstile） |
| Microsoft Azure、Google Cloud | 部分平台服务的托管（欧盟区域） |
| Microsoft 365 | 电子邮件和内部文档 |
| HubSpot | 联系人管理和电子邮件，包括新闻通讯 |
| Stripe | 付款和订阅 |
| PostHog（欧盟托管） | 产品和网站分析，仅在获得您同意的情况下 |
| Google Analytics 和 Google Ads 衡量，仅在获得您同意的情况下 |
在法律要求时，我们也可能与公共机关共享数据；与负有保密义务的专业顾问共享数据；以及在 ROOTKey 涉及合并或收购时与买方或继任者共享数据，后者必须继续按本政策所述保护这些数据。
7. 向欧盟以外地区的传输
我们优先选择欧盟境内的提供商和区域。部分提供商（例如 Google、HubSpot、Microsoft 和 Stripe）位于美国，或可能从美国访问数据。在这些情况下，如果提供商已获得欧盟-美国数据隐私框架认证，传输即以该框架为依据；否则以欧盟委员会批准的标准合同条款为依据，并在必要时辅以额外的保障措施。
8. 安全
我们通过传输中加密、基于需要的访问控制、访问日志记录以及对我们自身记录的完整性验证来保护个人数据。任何系统都并非毫无风险：如果个人数据泄露可能使您面临风险，我们将依照法律规定通知监管机构，并在法律要求时通知您。
9. 您的权利
您可以要求我们访问、更正或删除您的个人数据，限制或反对对其的使用（包括随时反对用于直接营销），以及以可携带的格式接收这些数据；您也可以撤回您给予的任何同意，而不影响撤回前已进行的处理。请发送邮件至 security@rootkey.ai；我们将在一个月内答复，并可能要求您确认您的身份。您可以通过每封电子邮件中的链接退订新闻通讯，也可以随时通过每个页面底部的“Cookie 设置”链接更改您的 Cookie 选择。
您还有权向葡萄牙数据保护机构 Comissão Nacional de Proteção de Dados（www.cnpd.pt）或您居住国的数据保护机构投诉。
10. 其数据由我们的客户处理的人员
如果您的个人数据位于我们的某一客户使用 ROOTKey 保护的文件或系统中，则由该客户对这些数据负责。请将您的请求发送给该客户；我们将协助其作出答复。
11. 儿童
我们的网站和服务面向专业人士，并非针对 16 岁以下的儿童。我们不会在知情的情况下收集他们的个人数据；如果您认为我们收集了此类数据，请联系我们，我们将予以删除。
12. 本政策的变更
当我们的服务或法律发生变化时，我们可能会更新本政策。顶部的日期显示最新版本。如果变更较为重大，我们将在变更生效前通过电子邮件告知账户持有人。